on
ทีมวิจัยจากมหาวิทยาลัยพรินซ์ตันเปิดเผยร่างรายงานวิจัยทดสอบความปลอดภัยของกระบวนการออกซิมโทรศัพท์มือถือใหม่ในสหรัฐฯ โดยทดสอบกับค่ายใหญ่ 3 ค่าย คือ T-Mobile, AT&T, และ Verizon และ MVNO อีก 2 ค่าย คือ Tracfone และ US Mobile พบว่าทั้งหมดล้วนไม่ปลอดภัยเพียงพอ
งานวิจัยใช้เบอร์โทรศัพท์ที่ทีมงานซื้อมาด้วยตัวเอง โดยสร้างตัวตนผู้ใช้ขึ้นมา 10 รายชื่อ สำหรับหมายเลขโทรศัพท์ 10 หมายเลข ระบุข้อมูล เช่น วันเกิด, ที่อยู่, อีเมล จากนั้นซื้อโทรศัพท์ 10 เครื่องจำลองเป็นเครื่องของเหยื่อ และอีก 10 เครื่องจำลองเป็นเครื่องของผู้โจมตี โดยไม่มีการใช้โทรศัพท์ซ้ำกันเลย โดยเครื่องของเหยื่อนั้นจะโทรเข้าออกเป็นระยะเวลาหนึ่งสัปดาห์เพื่อให้เหมือนหมายเลขที่มีการใช้งานจริง
ในขั้นตอนการโจมตี ผู้ช่วยวิจัยจะโทรเข้าศูนย์บริการ ระบุว่าซิมเดิมที่ใช้งานมีปัญหาการรับสัญญาณ และตอนนี้มีซิมใหม่อยู่ในมือต้องการให้ย้ายเบอร์มาลงซิมใหม่ โดยผู้ช่วยวิจัยจะตอบข้อมูลเท่าที่จะตอบได้ยกเว้นหมายเลข PIN ยืนยันตัวตน หากข้อมูลใดตอบไม่ได้จะอ้างว่าลืม หรือตอนกรอกข้อมูลสมัครได้กรอกผิดไป จากนั้นทีมงานบันทึกว่ามีการถามข้อมูลใดบ้าง
ผลวิจัยพบว่าคำถามส่วนใหญ่ของผู้ให้บริการเครือข่ายโทรศัพท์มือถือไม่ปลอดภัย เช่น คำถามว่าจ่ายเงินครั้งสุดท้ายเมื่อใด สามารถโจมตีได้ด้วยการไปจ่ายเงินแทนผู้ใช้จริง, คำถามว่าโทรออกครั้งสุดท้ายหมายเลขใดสามารถโจมตีด้วยการยิง missed call เพื่อล่อให้เหยื่อโทรกลับ, การถามข้อมูลส่วนตัวหลายอย่างเป็นข้อมูลที่ค้นหาได้ง่าย, ข้อมูลโทรศัพท์ เช่น หมายเลข IMEI สามารถหลอกเอาจากเหยื่อได้ด้วยการให้ลงแอป หรือแม้แต่การดักฟังจากสัญญาณโทรศัพท์ นอกจากนี้ผู้ให้บริการบางรายยังยอมให้สลับซิมแม้จะผู้โจมตีจะไม่สามารถยืนยันตัวตนได้สำเร็จก็ตาม
ผลการโจมตีพบว่าผู้ช่วยวิจัยสามารถขอสลับซิมจากผู้ให้บริการทั้ง 5 รายได้สำเร็จทั้งหมด โดยอัตราการสำเร็จไม่เท่ากัน เฉพาะ 3 ค่ายใหญ่นั้นอัตราความสำเร็จ 100%
ทีมวิจัยพบว่าเว็บไซต์จำนวนมากยังใช้การล็อกอินสองขั้นตอนโดยแนะนำให้ใช้ SMS และบริการจำนวนมากก็ใช้ SMS อย่างเดียวในการล็อกอิน รายงานแนะนำให้เว็บไซต์ อิมพลีเมนต์กระบวนการล็อกอินขั้นตอนที่สองโดยมีทางเลือกที่ปลอดภัยเป็นทางเลือกอย่างน้อยอีกหนึ่งรูปแบบ และหากยังใช้ SMS อยู่ก็อย่าสนับสนุนผู้ใช้ให้เลือกใช้ SMS หรือยกเลิกการใช้ SMS ไปเลย
ปัญหาการขโมยเงินด้วยการโจมตีจากหมายเลขโทรศัพท์เป็นปัญหาระบาดในหลายประเทศ ในไทยเองเคยมีคดีพ่อค้าถูกขโมยเงินจากบัญชีเกือบหนึ่งล้านบาท ที่ผ่านมาการยืนยันตัวตนผ่าน SMS ถูกจัดเป็นการยืนยันตัวตนที่ไม่ปลอดภัยเพียงพอ NIST จัดให้ SMS เป็นการยืนยันตัวตนที่ต้องใช้อย่างจำกัด (RESTRICTED) โดยหากมีการใช้งานต้องไม่สนับสนุนให้ใช้ และต้องจัดหาวิธีที่ปลอดภัยทดแทนไว้ด้วย
ที่มา - issms2fasecure.com
พวกแอพธนาคารไทยยังใช้ OTP
Nolim Sat, 11/01/2020 - 15:33
พวกแอพธนาคารไทยยังใช้ OTP กันเกือบหมด
ผมกลับว่า ปัญหามันไม่ใช่
iamfalan Sat, 11/01/2020 - 19:12
ผมกลับว่า ปัญหามันไม่ใช่ “การใช้ otp ด้วย sms” แต่เป็น “การไม่รับรู้ความสำคัญของเลขหมายของผู้ให้บริการ” มากกว่า
ถ้าเราไม่ใช้ otp ด้วย sms ผมยังนึกอะไรที่มัน mass คนทั่วไปสามารถใช้ได้ไม่ออก จะให้ถือ hardware token ทุกคน หรือใช้ token app ที่มันสามารถโดนล้าง setup (เพิ่งเจอกับ google Authenticator) คงไม่ได้
วิธีแก้ปัญหาที่ดีกว่า น่าจะเป็นเพิ่มความเข้มข้นในการตรวจสอบ ของผู้ให้บริการมากกว่า
ธนาคารทำ 2-token
lew Sat, 11/01/2020 - 19:48
In reply to ผมกลับว่า ปัญหามันไม่ใช่ by iamfalan
ธนาคารทำ 2-token ด้วยตัวเองมาเป็นสิบปีแล้วครับ มันคือบัตรเอทีเอ็ม + รหัสผ่าน แค่ว่าช่วงหลัง "เล่นง่าย" ด้วยการไม่แจกโทเค็นเอง แต่ไปใช้ SMS เอา อย่างบัตรเครดิตเมื่อก่อนโดน copy อย่างหนักก็แจกใหม่ได้ทุกคนเป็นล้านบัตร ไม่เห็นมีปัญหาอะไร
ธนาคาร (และบริการทางการเงินอื่น เช่น เว็บแลกเงินคริปโต) รับผิดชอบเงินเป็นล้าน ค่าธรรมเนียมบริการทางการเงินนี่ transaction เดียวเป็นหมื่นเป็นแสนได้ง่ายๆ แต่มักง่ายไปฝากระบบ authentication กับโทรศัพท์ค่าบริการเฉลี่ยเดือนละ 200 บาท ลูกค้าระดับสูงๆ ค่ารายเดือนยังไม่กี่พัน
การแนะนำ "ไม่ให้ใช้" นี่มันมีระดับความเสี่ยงที่ยอมรับได้ แบบเดียวกับที่ธนาคารแห่งประเทศไทยแนะนำเรื่อง Android เวอร์ชั่นเก่า คือมันสะดวกดี รับกับคนหมู่มาก แต่เราต้องรับรู้ว่ามันมีความเสี่ยง เช่นว่าธนาคารจะบอกว่า ถ้าคุณไม่เปิด Hardware token จะจำกัดเงินโอนออกได้ไม่เกินวันละหมื่นสองหมื่น (ซึ่งเกินพอสำหรับคน 90%) แบบนั้นก็ยังได้ แต่นั่นคือธนาคารต้องเปิดทางเลือกอื่นสำหรับคนส่วนน้อยที่ต้องทำ transaction มูลค่าสูง ให้เข้าถึงกระบวนการรักษาความปลอดภัยที่เหมาะสมกับมูลค่า